Vermeidung von CMS-Katastrophen: Erhöhen Sie Ihre WordPress-Sicherheit auf die nächste Stufe

Niemand möchte die nächste Schlagzeile in den Schlagzeilen sein, wenn er eine Verletzung der Kundendaten oder einen katastrophalen Website-Zusammenbruch erleidet.

Online-Bedrohungen existieren heute in verschiedenen Formen – von Bots, die nach bekannten Schwachstellen suchen, bis hin zu Skript-Kiddies, Cyber-Gangs und sogar Akteuren von Nationalstaaten.

Für angeschlagene IT-Teams kann es sich wie mehr anfühlen, sicherzustellen, dass eine Online-Präsenz nicht beeinträchtigt wird, als ein Vollzeitjob, „nur laufen, um stillzustehen“. Leider bleibt dabei oft nur wenig Bandbreite für die eigentliche Aufgabe, einen Standort, seine Infrastruktur und sein Geschäft auf die Zukunft vorzubereiten.

In der vierten unserer Reihe „ Vermeidung von CMS-Katastrophen “ untersuchen wir fünf Möglichkeiten, wie Organisationen und ihre IT-Verantwortlichen ihre Websites und Anwendungen gegen böswillige Angriffe widerstandsfähiger machen, vertrauliche Kundendaten schützen und ihr Unternehmen stets betriebsbereit halten können.

• Schwachstellenmanagement
• Netzwerksicherheit
• Datenschutz
• Zugriff und Authentifizierung
• Wiederherstellung nach Verletzung

1. Schwachstellenmanagement

Das Identifizieren und Beheben von Software-Schwachstellen kann eine überwältigende Aufgabe sein, selbst für die größten IT-Teams.

Das Schwachstellenmanagement erfordert die fortlaufende Identifizierung, Klassifizierung, Priorisierung, Verwaltung und Behebung von Schwachstellen in der Infrastruktur Ihres Unternehmens. Laut dem britischen National Cyber ​​Security Centre bleibt „die Ausnutzung bekannter Schwachstellen in Software die häufigste Ursache für Sicherheitsvorfälle“.

Scannen von Schwachstellen

Das regelmäßige Scannen Ihres Netzwerks zur Überwachung auf neue Schwachstellen oder unbeabsichtigten offenen Zugriff auf Computer ist ein Muss für jede Organisation, die ihre Angriffsfläche minimieren möchte. Leider fallen die Wartung der Scan-Software, die Überprüfung der Scan-Ergebnisse und deren Umsetzung oft auf die Prioritätenliste einer vielbeschäftigten IT-Abteilung.

Die WordPress-VIP-Antwort:

Unsere Plattform bietet Sicherheit in Ihrem gesamten Netzwerk – von der Edge-Sicherheit bis zum Schutz von Daten bei der Übertragung zwischen Komponenten. Beispielsweise überwacht der DDoS-Schutz kontinuierlich den Webverkehr und ergreift aktive Abwehrmaßnahmen, wenn verdächtige Aktivitäten erkannt werden. Netzwerk- und Host-basierte Firewalls mit Echtzeit-Benachrichtigungsprozessen verhindern unbefugte Zugriffsversuche.

Behebung von Schwachstellen

Die Aktualisierung der Anwendungsschicht ist nur ein Schritt in diesem Prozess. Auch alle unterstützenden Schichten und Infrastrukturen müssen auf dem neuesten Stand gehalten werden. Manchmal werden Sicherheitslücken offengelegt, für die es keinen sofortigen Patch gibt oder die eine Minderung in Ihrer Codebasis erfordern.

Um Ihre Anwendungsinfrastruktur auf dem neuesten Stand zu halten, sind mehrere Schritte erforderlich, darunter:

• Suche nach Updates für jede Software
• Erstellen der neuen Version
• Testen auf Ihrer Nicht-Produktionsarchitektur
• Stellen Sie sicher, dass keine neuen Probleme eingeführt werden, und beheben Sie diese anschließend
• Versetzen Sie Ihre Produktionsanwendung in den Wartungsmodus und verteilen Sie Ihre Updates

Hinweis: Alle diese Schritte sollten mit jedem Patch durchgeführt werden, der auf jeder Ebene Ihrer Anwendung verfügbar ist.

Speziell für WordPress geht es nicht nur darum, den Kern und die zugrunde liegende Infrastruktur auf dem neuesten Stand zu halten. Themes und Plugins von Drittanbietern müssen regelmäßig aktualisiert und gepatcht werden. Es ist auch wichtig, die Qualität von Plugins von Drittanbietern zu erkennen, die zu Ihrer WordPress-Site hinzugefügt werden. Einige sind möglicherweise schlecht codiert oder führen Sicherheitslücken ein – fahrlässig oder böswillig. Tools wie WPScan, SonarQube oder PHP_CodeSniffer können Ihnen dabei helfen, Ihre Codeüberprüfungen zu automatisieren, um die Einführung unerwünschter Exploits zu erkennen.

Die WordPress-VIP-Antwort :

Unsere Plattform wird von aktiven Mitgliedern der WordPress-Community verwaltet. Wenn ein Problem auftritt, patchen wir es sofort, oft bevor der Fix in den WordPress-Kerncode gepusht wird. In der Zwischenzeit warnen wir alle Kunden proaktiv über: 1) bevorstehende, automatisierte WordPress-Updates, um sicherzustellen, dass sie auf der neuesten Version unserer Plattform sind, und 2) Plugin-Exploits in freier Wildbahn und Versuche, diese Probleme auf Plattformebene zu beheben .

Um tiefer zu gehen, verwenden wir automatisierte Code-Scans für Pull-Requests, die im GitHub-Repository einer Anwendung erstellt wurden. Dies kann potenzielle Sicherheitsbedenken erkennen, bevor der Code in Produktion geht (und ist nützlich, um Plugins aus dem breiteren WordPress-Ökosystem zu bewerten). WordPress VIP nutzt unsere Kubernetes-Orchestrierung und bietet Bereitstellungen ohne Ausfallzeiten für Kundenanwendungen.

Schließlich können wir basierend auf jahrelanger Erfahrung mit dem Betrieb von WordPress in großem Maßstab häufige Angriffsvektoren entschärfen – dank kontinuierlicher Tests unserer Infrastruktur auf Schwachstellen und der Beauftragung unabhängiger Dritter, Penetrationstests durchzuführen.

2. Netzwerksicherheit

Die Netzwerksicherheit ist ein wesentlicher Bestandteil der Online-Präsenz eines Unternehmens.

Erstklassige Sicherheit bedeutet, sowohl perimeterbasierte Sicherheit als auch interne Netzwerksicherheit zu verwalten. Hier müssen mehrere Faktoren berücksichtigt und gemanagt werden, um Benutzer und ihre Daten effektiv zu schützen.

Einbrucherkennungssystem

Die Überwachung und Protokollierung des gesamten Netzwerkverkehrs ist unerlässlich, um böswillige oder verdächtige Aktivitäten zu identifizieren. Um unbefugten Zugriff zu verhindern, benötigen Sicherheitsteams entweder automatisierte Regeln oder benachrichtigen Systemadministratoren, um verdächtigen Datenverkehr zu überprüfen und geeignete Maßnahmen zu ergreifen.

Firewalls

Um Sicherheitsrisiken zu minimieren, müssen Sie verstehen, welcher Datenverkehr Ihr Netzwerk passieren darf und wie Anwendungen innerhalb und außerhalb des Netzwerks kommunizieren. Dies bedeutet das Festlegen und Überprüfen von Ingress/Egress-Regeln mithilfe von Software- oder Hardware-Firewalls, die nur den wesentlichen Netzwerkverkehr für Ihre Anwendungen zulassen.

Das Blockieren oder Zulassen des falschen Datenverkehrs könnte die Leistung eines wichtigen Systems beeinträchtigen oder, schlimmer noch, Ihre Datenbank der Welt preisgeben.

Physische Netzwerksicherheit

Ein Netzwerk ist nur so sicher wie seine physische Sicherheit. Die besten Firewalls, Intrusion-Detection-Systeme und Threat-Management-Software können alle von einem böswilligen Akteur umgangen werden, der sich physischen Zugriff auf Ihre Server verschafft.

Rechenzentren erfordern mehrere Ebenen der physischen Sicherheit, wie zum Beispiel:

• Physische Zugangskontrollen
• Umgebungsüberwachung
• Alarme und Sensoren
• Überwachung
• Notstromversorgung

Alle diese müssen auch regelmäßig überprüft werden, um sicherzustellen, dass sie die Best Practices für die Sicherheit erfüllen.

3. Datenschutz

Kein Unternehmen möchte, dass sein Datenleck auf haveibeenpwned.com für die ganze Welt sichtbar wird.

Benutzer verlieren schnell das Vertrauen zu Unternehmen, die ihre Daten nicht auf dem erwarteten Niveau schützen. Um sicherzustellen, dass nur autorisierte, rollenspezifische Benutzer auf sensible Kundendaten zugreifen können, sind mehrere Schutzebenen erforderlich.

Datenverschlüsselung

Die Kommunikation zwischen Ihrer Anwendung und Ihren Benutzern muss während der Übertragung verschlüsselt werden, um zu verhindern, dass Daten von Dritten abgefangen oder manipuliert werden. Zur Verschlüsselung der Daten wird in der Regel Transport Layer Security (TLS) verwendet. Dazu müssen TLS-Zertifikate erstellt und sichergestellt werden, dass sie erneuert werden.

Da Daten auch im Ruhezustand verschlüsselt werden können, erfordert dies den Schutz von Daten, die auf Speichermedien wie Backups aufbewahrt werden. Wenn ein böswilliger Akteur Zugriff erhält, benötigt er immer noch den Datenverschlüsselungsschlüssel, um die Daten tatsächlich zu verwenden.

Die Schlüsselverwaltung ist ein wichtiger Bestandteil der Datenverschlüsselung. Schlüssel durchlaufen mehrere Phasen in ihrem Lebenszyklus: Generierung, Verteilung, Verwendung, Sicherung, Rotation und Vernichtung. In jeder Phase gibt es Best Practices, die Sie befolgen sollten, um Ihre Daten zu schützen.

Buchungsprotokolle

Eine chronologische Aufzeichnung aller Aktivitäten, die innerhalb Ihrer Anwendung auf jeder Ebene des Stacks stattfinden, ist für jedes Unternehmen unerlässlich. Prüfprotokolle sind für forensische Untersuchungen, das Erkennen von Sicherheitsverletzungen und deren Auswirkungen sowie das Verständnis von Systemfehlern erforderlich.

Audit-Trails müssen Protokolle für mehrere Ebenen und Anwendungen sammeln und sicher genug sein, damit sie nicht von Benutzern geändert werden können. Und sie müssen die chronologische Genauigkeit gewährleisten. Dazu müssen Sie wissen, welche Aktionen protokolliert werden müssen, mehrere Systeme mit einem ELK-Tool wie Kibana verbinden, Systeme mithilfe des Network Time Protocol (NTP) synchronisieren, damit Zeitstempel aussagekräftig sind, und den Zugriff auf Protokolle verwalten.

Automatisierte Alarmierung

Zu wissen, was einen Sicherheitsvorfall ausmacht, was eine manuelle Bewertung erfordert und wie er gehandhabt werden sollte, ist eine Kunst für sich.

Die automatisierte Protokollanalyse kann verdächtiges Verhalten frühzeitig erkennen (wenn Sie wissen, wonach Sie suchen müssen). Tools mit vordefinierten oder benutzerdefinierten Regeln können speziell für Ihre Anwendung erstellt werden. Dies erfordert die Einstellung von Parametern in Ihrer Protokollanalyse, um zu wissen, wann:

• Automatisierte Aktionen sollten ausgeführt werden, um sich vor Angriffen und böswilligem Datenverkehr zu schützen.
• Das Systemteam sollte manuell eingreifen, um die Muster zu untersuchen und zu bestimmen, ob es sich um fälschlicherweise als gutartig gekennzeichnetes Verhalten oder Handeln handelt.

All dies beruht auf gut konfigurierten Tools und einem erfahrenen Sicherheitsteam, das die Nutzungsmuster Ihrer Anwendungen versteht. Kein Unternehmen möchte, dass ein Inhalt viral wird, nur damit sein System ihn als DDoS-Angriff kennzeichnet und den Datenverkehr blockiert.

Die WordPress-VIP-Antwort :

Wir unterhalten eine separate containerisierte Datenbankinfrastruktur für jeden Client und jede Anwendung, jede mit ihrer eigenen eindeutigen Authentifizierung. Dadurch wird das Risiko eines unbefugten Zugriffs zwischen Anwendungen verringert, die Daten jedes Kunden geschützt und das Angriffsrisiko verringert. Wir bieten Sicherheit für Datenbanken, Dateisysteme, Anwendungen und Rechenzentren sowie stündliche verschlüsselte Backups. Und unsere Ursprungsrechenzentren erfüllen die Zertifizierungen der International Organization of Standardization (ISO), der International Electrotechnical Commission (IEC) 27001, der Standards for Attestation Engagements (SSAE) Nr. 18 (SOC1) und SOC2 Typ 2.

„Sicherheit und Datenschutz sind Dinge, die an erster Stelle stehen müssen – wir haben ein großes Ziel vor Augen, was uns dazu zwingt, überaus wachsam zu sein.“

– David „Hos“ Hostetter, Digital CTO, Al Jazeera Media Network

Fallstudie: Für ein Medienunternehmen mit der globalen Reichweite und dem Einfluss von Al Jazeera war es unerlässlich, sein Eigentum auf eine CMS-Plattform zu migrieren, die gegen böswillige Akteure gehärtet ist. Lesen Sie, warum sie sich für WordPress VIP entschieden haben.

4. Zugriff und Authentifizierung

Laut Telesign verwenden mehr als die Hälfte der Verbraucher während ihres gesamten Online-Lebens fünf oder weniger Passwörter, und fast die Hälfte der Verbraucher verlässt sich auf ein Passwort, das fünf Jahre lang nicht geändert wurde.

Der Zugriff auf das Konto eines Benutzers kann eine der einfachsten Möglichkeiten sein, auf ein gesichertes System zuzugreifen. Aus diesem Grund sind granulare Zugriffskontrolle, Multifaktor-Authentifizierung und/oder Single Sign-On so wichtig für sicherheitsbewusste Organisationen.

Zugriffskontrollen

Granulare Zugriffskontrollen und die Implementierung einer Richtlinie mit „geringsten Rechten“ sind unerlässlich, um Ihre Daten sicher zu halten und Angriffsflächen für Ihre Anwendung zu reduzieren. Die Richtlinie der geringsten Rechte besagt, dass einem Benutzer nur die Berechtigungen erteilt werden sollten, die zum Ausführen seiner Aufgabe erforderlich sind. Wenn beispielsweise sichergestellt wird, dass nicht jeder Benutzer über Administratorrechte verfügt, bedeutet dies, dass die Wahrscheinlichkeit, dass er erheblichen Schaden anrichten kann, begrenzt ist, wenn ein böswilliger Akteur die Anmeldeinformationen eines Benutzers erlangt.

Einmaliges Anmelden (SSO)

Mit SSO melden sich Benutzer mit einem Satz Anmeldeinformationen bei mehreren Diensten an. Wenn ein Benutzer in einem bestimmten Dienst nicht vorhanden ist, kann er manchmal spontan bereitgestellt werden, indem die Benutzerzuordnung vom Identitätsanbieter des Dienstes verwendet wird. Dienste wie Azure AD, Google Apps, AuthO oder OneLogin bieten SSO-Funktionalität.

SSO hilft IT-Abteilungen, zentralisierte Regeln für Benutzer festzulegen, den Zeitaufwand für die Wiederherstellung verlorener Passwörter zu reduzieren und die Notwendigkeit der manuellen Bereitstellung und Deaktivierung von Benutzern während des Onboarding/Offboarding zu beseitigen.

Multifaktor-Authentifizierung

Die Verwendung von MFA bietet eine weitere Schutzebene gegen die Gefährdung der Benutzer Ihrer Organisation.

MFA erfordert eine Kombination aus mindestens zwei Authentifizierungsmethoden, um sich anzumelden. Im Allgemeinen wird es mit einem Benutzernamen und einem Passwort als erste Authentifizierungsebene konfiguriert, gefolgt von einem zeitbasierten Authentifizierungstoken, das über ein Hardwaregerät oder eine Software wie Google Authenticator generiert wird. Der Vorteil dieses Prozesses besteht darin, dass sich ein Benutzer ohne das Authentifizierungstoken nicht anmelden kann, selbst wenn der Benutzername und das Kennwort kompromittiert sind, und umgekehrt.

Die WordPress-VIP-Antwort :

WordPress VIP basiert auf einer Grundlage granularer Zugriffskontrollen und Berechtigungen, einschließlich Multifaktor-Authentifizierung, Brute-Force-Schutz, Datenzugriffs-Audit-Trails und physischer Sicherheit. Diese bieten eine zusätzliche Schutzebene gegen kompromittierte Passwörter, verhindern, dass unbefugte Mitarbeiter oder Auftragnehmer auf Kundendaten zugreifen, und wenden dynamisch Beschränkungen auf Netzwerkebene an, wenn unnatürliches Verhalten erkannt wird.

5. Wiederherstellung nach Verletzung

Automatisierte Backups und Hardware-Redundanz sind für den reibungslosen Ablauf Ihres täglichen Online-Geschäftsbetriebs von entscheidender Bedeutung.

Sicherungen

Backups sind für die Verhinderung von Datenverlust, die Verhinderung von Ransomware-Angriffen und die schnelle Wiederherstellung nach Ausfällen von entscheidender Bedeutung. Es gibt eine Reihe von Best Practices für Backups, die jedes Unternehmen befolgen sollte, um sicherzustellen, dass es die volle Kontrolle und Redundanz über seine Daten hat.

1. Regelmäßige Sicherungen . Je häufiger, desto besser im Hinblick auf die Reduzierung Ihres Recovery Point Objective (RPO) und die Minimierung von Datenverlusten.
2. Backup-Redundanz . Das Speichern von Backups an mehreren Orten (z. B. extern) stellt sicher, dass Sie immer noch darauf zugreifen können, selbst wenn Sie den Zugriff auf Ihren Hauptserver verlieren.
3. Verschlüsselte Sicherungen . Selbst wenn Ihr Sicherungsspeicher kompromittiert ist, sind die Daten ohne den Verschlüsselungsschlüssel nutzlos.
4. Regelmäßiges Testen . Extrahieren Sie regelmäßig Ihre Backups und testen Sie sie in einer Nicht-Produktionsumgebung, um sicherzustellen, dass Ihr Team Ihre Website tatsächlich damit wiederherstellen kann.

Hardware-Redundanz

Die Verfügbarkeit von Backups ist ohne Backup-Hardware, auf der die Wiederherstellung durchgeführt werden kann, wenig bis gar nicht sinnvoll.

Dies erfordert redundante Hardware innerhalb und außerhalb Ihres primären Rechenzentrums. Ganz gleich, ob es sich um ein Problem mit einem einzelnen Server oder dem gesamten Rechenzentrum handelt, Ihr Team kann auf diese Hardware zugreifen, um schnell wieder online zu gehen.

Die WordPress-VIP-Antwort :

Im unwahrscheinlichen Fall einer Sicherheitsverletzung helfen wir unseren Kunden dank mehrerer Backup-Ebenen (ursprüngliches Rechenzentrum und Offsite-Standorte) sowie Verfahren für Notfallwiederherstellung und Sicherheitsverletzungen, sich schnell zu erholen und wieder in den Geschäftsbetrieb zurückzukehren. Wir bieten auch die Möglichkeit, Ihre Backups automatisch an Ihren eigenen S3-Speicher zu senden, um sicherzustellen, dass Sie Ihre eigenen Datenaufbewahrungsrichtlinien darauf festlegen oder sogar automatisierte Wiederherstellungstests durchführen können. Durch die Nutzung mehrerer redundanter Speicherebenen können wir Daten in ihrem ursprünglichen oder zuletzt replizierten Zustand rekonstruieren, bevor sie verloren gingen. WordPress VIP verfügt auch über mehrere Ursprungsrechenzentren, zu denen Websites im unwahrscheinlichen Fall eines Ausfalls eines einzelnen Rechenzentrums migriert werden können.

Abschließend

Vom Schwachstellenmanagement bis zur Wiederherstellung nach Sicherheitsverletzungen bietet die Arbeit mit WordPress VIP Unternehmen die Möglichkeit, jahrelange Erfahrung darin zu nutzen, hochkarätige, hochskalierte WordPress-basierte Websites online und vor Bedrohungen sicher zu halten.

Aufbauend auf mehreren Ebenen von Sicherheitskontrollen und Schutz – einschließlich Kantenschutz, sicherer Vernetzung, robuster Zugriffskontrolle, kontinuierlicher Sicherheitsüberwachung und Code-Scanning – erfüllt WordPress VIP die anspruchsvollsten Sicherheitsanforderungen. Aus diesem Grund vertrauen ihm Kunden in risikoreichen Branchen wie Banken, Pharmazeutika, öffentliche Versorgungsunternehmen und Behörden. Wir sind auch die einzige WordPress-Plattform, die die FedRAMP Authority to Operate (ATO) erreicht hat.

Möchten Sie auf ein kampferprobtes, sichereres CMS upgraden? Erfahren Sie mehr über WordPress VIP, einschließlich unserer tiefen Wurzeln in Open-Source-Software. Und nur fürs Protokoll, Sie können gleich jetzt den Status unserer WordPress-VIP-Plattform überprüfen.